Протоколът за удостоверяване на IEEE 802.1X не се поддържа в среда Windows предварително инсталиране (PE) 3.0

Въведение

Windows предварително инсталиране на среда (PE) 3.0 не поддържа протокола за удостоверяване IEEE 802.X. Следователно клиентът на Windows PE 3.0 не може да удостовери ключ, който е конфигуриран за IEEE 802.X удостоверен достъп до мрежата.

Повече информация

След като приложите тази актуална корекция, Windows PE 3.0 поддържа протокола за удостоверяване IEEE 802.X.

Забележка 802.1X удостоверяване не се поддържа, когато стартирате Windows PE от следното:

• Разполагане на операционна система Microsoft System Center Configuration Manager 2007

• Набор инструменти за разполагане на Microsoft

Добавяне на актуализацията към Windows PE 3.0

Следващите инструкции показват как да добавите следната актуализация към Windows PE 3.0. Той не обхваща никаква интеграция със System Center Configuration Manager или с други продукти.

972831 Протоколът за удостоверяване на IEEE 802.1X не се поддържа в Windows среда за предварително инсталиране (PE) 3.0 Трябва да имате на разположение или инсталирани следните файлове и предварителни изисквания:

• Компютър техник, който има инсталиран Windows автоматизиран инсталационен комплект (AIK) за Windows 7

• 394904_intl_i386_zip.exe или 394905_intl_x64_zip.exe в зависимост от архитектурата на вашето Windows PE изображение

• Следващият VBS скрипт и два XML файла. Те се намират в раздела Примерни скриптове:

  • StartDot3.VBS

  • USERDATA-EAP-TLS.xml

  • Wired-WinPE-EAP-TLS.xml

• Вашият главен сертификат, записан като RootCert.cer

• Всички подчинени CA сертификати, записани като SubCACert.cer

• Вашият потребителски сертификат pfx, записан като Usercert.pfx

• Версиите x86 или x64 на certutil.exe и certutil.exe.mui от компютър, базиран на Windows 7, в зависимост от архитектурата на вашето Windows PE изображение

ЗабележкаПо-долу примерът изгражда x86 версия на Windows PE.

На компютър, базиран на Windows 7, базиран на Windows Server 2008 или компютър, базиран на Windows Server 2008 R2 инсталирайте Windows 7 AIK.

1. На компютъра техник щракнете върху Старт, посочете Всички програми, посочете Windows AIK, щракнете с десния бутон върху Инструменти за разполагане, команден прозорец и след това щракнете върху Изпълнявай като администратор.
   
   Прекият път към менюто отваря прозорец на командната среда и автоматично задава променливи на средата, така че да сочат към всички необходими инструменти. По подразбиране всички инструменти са инсталирани в папката C:\Program Files\Windows AIK\Tools.

2. В командния прозорец изпълнете скрипта Copype.cmd. Скриптът изисква два аргумента: архитектура на хардуера и местоположение местоназначение.
   
   Например архитектурата copype.cmd <> <местоназначение>, където <архитектура> може да бъде x86, amd64 или ia64, а <местоназначение> е пътят на локалния справочен указател.
   
   Например изпълнете тази команда:

   copype.cmd x86 c:\winpe_x86The скрипт създава следната структура на директорията и копира всички необходими файлове за тази архитектура:

   \winpe_x86
   \winpe_x86\ISO
   \winpe_x86\mount

3. Копирайте основното изображение (Windows PE.wim) в папката \Winpe_x86\ISO\sources и преименувайте файла на boot.wim.

   copy c:\winpe_x86\winpe.wim c:\winpe_x86\ISO\sources\boot.wim

4. Монтирайте базовото Windows PE изображение. В тази стъпка трябва да монтирате основното изображение в локална директория, така че да можете да добавяте или премахвате пакети.

   Dism /Mount-Wim /WimFile:C:\winpe_x86\ISO\sources\boot.wim /index:1 /MountDir:C:\winpe_x86\mount

5. Добавете следните пакети към изображението. Имайте предвид, че всяка команда трябва да бъде един ред и командата не трябва да преминава на повече редове.
   
   Добавяне на WINPE-WMI пакет

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-wmi.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-wmi_en-us.cab" 

   Добавяне WINPE-Scripting пакет

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-scripting.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-scripting_en-us.cab" 

   Добавяне на WINPE-HTA пакет

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\winpe-hta.cab"
   
   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"C:\Program Files\Windows AIK\Tools\PETools\x86\WinPE_FPs\en-us\winpe-hta_en-us.cab"

6. Извлечете съдържанието на актуализацията на 394904_intl_i386_zip.exe в папката c:\972831.
   

7. Добавете актуализацията за поддръжка на 802.1X към изображението:

   dism.exe /image:C:\winpe_x86\mount /add-package /packagepath:"c:\972831\Windows6.1-KB972831-86.cab" 

8. Създайте папка, която да съдържа допълнителни файлове за поддръжка на 802.1X. За да направите това, изпълнете следната команда:

   md C:\winpe_x86\mount\winpe

9. Копирайте certutil.exe и certutil.exe.mui от компютър, базиран на Windows 7, в папката c:\winpe_x86\mount\winpe. Тези файлове могат да бъдат намерени в папката %windir%\system32.
   
   Забележка Трябва да копирате правилната версия на тези файлове на базата на архитектурата на вашето Windows PE изображение.

10. Редактирайте файла Wired-WinPE-EAP-TLS.xml и променете следния ред, за да въведете пръстов отпечатък/хеш на главния CA сертификат за правилния сертифициращ орган:

    <TrustedRootCA>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</TrustedRootCA> 

11. Копирайте вашия профил за връзка в Windows PE директория с помощта на EAP-TLS:

    Copy Wired-WinPE-EAP-TLS.xml C:\winpe_x86\mount\winpe 

12. Редактирайте файла на USERDATA-EAP-TLS.xml и променете следните редове за Username и UserCert:

    <eapTls:Username>contoso\username</eapTls:Username>
    
    <eapTls:UserCert>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</eapTls:UserCert>

13. Копирайте вашия профил за връзка в Windows PE директория с помощта на EAP-TLS:

    copy USERDATA-EAP-TLS.xml C:\winpe_x86\mount\winpe 

14. Копирайте вашия главен сертификат и всички подчинени CA сертификати в папката c:\winpe_x86\mount\winpe.

15. Копирайте вашия потребителски сертификат pfx в папката c:\winpe_x86\mount\winpe.

16. Редактирайте StartDot3.vbs файл и променете следния ред:

    certutil –user –p PASSWORD -importpfx \winpe\USERcert.pfx NOEXPORT,NOCHAIN 

    Забележка: В този ред трябва да промените PASSWORD паролата, която е присвоена на сертификата, когато той е експортиран.

17. Копирайте StartDot3.Vbs в папката c:\winpe_x86\mount\winpe.

18. Редактирайте startnet.cmd, за да изпълнявате автоматично StartDot3.vbs:

    notepad C:\winpe_x86\mount\windows\system32\startnet.cmd

19. Добавете .\winpe\StartDot3.vbs след командата wpeinit и след това запишете файла startnet.cmd.

20. Премахване и фиксиране на промените в . ВИМ:

    Dism /Unmount-Wim /MountDir:C:\winpe_x86\mount /Commit

21. Създайте стартов носител с помощта на стъпките, които са описани в Windows 7 помощния файл на AIK в следните теми:

    • "To create a bootable CD-ROM"

    • "To create a bootable UFD"

‘================================
‘StartDot3.VBS
‘================================
Dim WshShell
Set WshShell = CreateObject("WScript.Shell")

commandLine = "certutil -addstore Root \winpe\Rootcert.cer"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "certutil -addstore CA \winpe\SubCAcert.cer"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "certutil –user –p PASSWORD -importpfx \winpe\USERcert.pfx NOEXPORT,NOCHAIN"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "net start dot3svc"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "netsh lan add profile filename=\winpe\Wired-WinPE-EAP-TLS.xml"
Return  = WshShell.Run(commandLine, 0, true)

commandLine = "netsh lan set eapuserdata filename=\winpe\Wired-WinPE-UserData-EAP-TLS.xml allusers=yes interface=*"
Return  = WshShell.Run(commandLine, 0, true)

<?xml version="1.0"?>
<EapHostUserCredentials xmlns="http://www.microsoft.com/provisioning/EapHostUserCredentials" xmlns:eapCommon="http://www.microsoft.com/provisioning/EapCommon" xmlns:baseEap="http://www.microsoft.com/provisioning/BaseEapMethodUserCredentials">
 <EapMethod>
  <eapCommon:Type>13</eapCommon:Type>
  <eapCommon:AuthorId>0</eapCommon:AuthorId>
 </EapMethod>
 <Credentials xmlns:eapUser="http://www.microsoft.com/provisioning/EapUserPropertiesV1" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:baseEap="http://www.microsoft.com/provisioning/BaseEapUserPropertiesV1" xmlns:eapTls="http://www.microsoft.com/provisioning/EapTlsUserPropertiesV1">
  <baseEap:Eap>
  <baseEap:Type>13</baseEap:Type>
   <eapTls:EapType>
    <eapTls:Username>contoso\username</eapTls:Username>
    <eapTls:UserCert>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</eapTls:UserCert>
   </eapTls:EapType>
  </baseEap:Eap>
 </Credentials>
</EapHostUserCredentials>

<?xml version="1.0"?>
<LANProfile xmlns="http://www.microsoft.com/networking/LAN/profile/v1">
 <MSM>
  <security>
   <OneXEnforced>false</OneXEnforced>
   <OneXEnabled>true</OneXEnabled>
   <OneX xmlns="http://www.microsoft.com/networking/OneX/v1">
    <authMode>user</authMode>
    <EAPConfig><EapHostConfig xmlns="http://www.microsoft.com/provisioning/EapHostConfig"><EapMethod>
<Type xmlns="http://www.microsoft.com/provisioning/EapCommon">13</Type>
<VendorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorId>
<VendorType xmlns="http://www.microsoft.com/provisioning/EapCommon">0</VendorType>
<AuthorId xmlns="http://www.microsoft.com/provisioning/EapCommon">0</AuthorId>
</EapMethod>
<Config xmlns="http://www.microsoft.com/provisioning/EapHostConfig">
<Eap xmlns="http://www.microsoft.com/provisioning/BaseEapConnectionPropertiesV1"><Type>13</Type>
<EapType xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV1">
<CredentialsSource>
<CertificateStore>
<SimpleCertSelection>true</SimpleCertSelection>
</CertificateStore>
</CredentialsSource>
<ServerValidation>
<DisableUserPromptForServerValidation>false</DisableUserPromptForServerValidation>
<ServerNames></ServerNames>
<TrustedRootCA>00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00</TrustedRootCA>
</ServerValidation>
<DifferentUsername>false</DifferentUsername>
<PerformServerValidation xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">true</PerformServerValidation>
<AcceptServerName xmlns="http://www.microsoft.com/provisioning/EapTlsConnectionPropertiesV2">false</AcceptServerName>
</EapType>
</Eap>
</Config>
</EapHostConfig>
</EAPConfig>
   </OneX>
  </security>
 </MSM>
</LANProfile>

Препратки

Продуктите на други производители, които се обсъждат в тази статия, са произведени от фирми, независими от Microsoft. Microsoft не дава никакви гаранции – подразбиращи се,или други – за работата или надеждността на тези продукти.